Aniqlash qoidalari

Platforma 62 ta production qoida bilan keladi: autentifikatsiya va endpoint faolligi, lateral movement, ransomware, razvedka, command and control, himoyani chetlab o’tish, credential o’g’irlash, bulut va ichki tahdidlar bo’yicha. Ularning har biri o’z MITRE ATT&CK texnikalarini va ma’lum soxta signallarini ko’rsatadi; 56 tasida ishga tushishini isbotlaydigan test hodisalari va jim qolishini isbotlaydigan hodisalar bor.

Har bir tenant Qoidalar bo’limida katalogning o’z nusxasini oladi. GET /api/rules/mitre-coverage qoidalar qaysi ATT&CK texnikalarini qamrashini taktika bo’yicha ko’rsatadi.

Qoida nimadan iborat

{
  "rule_key": "core.auth.brute_force",
  "name": "Multiple Failed Authentication Attempts",
  "severity": "medium",
  "confidence_score": 80,
  "condition": {
    "event_type_any": ["auth_failure"],
    "tags_any": ["auth", "login_failure", "bruteforce", "password_spray"]
  },
  "mitre_attack": ["T1110"],
  "false_positive_notes": [
    "Misconfigured service accounts cycling expired passwords — check if source is a known service host"
  ],
  "recommended_actions": [
    "Check number of failures in the last 10 minutes for the same user and source IP"
  ]
}

rule_key <domen>.<platforma>.<xulq> ko’rinishida o’qiladi. U alert qaysi jamoaga yo’naltirilishini ham belgilaydi (Jamoalar bo’limiga qarang).

Shartlar qanday o’qiladi

Qoida ishga tushishi uchun shartdagi har bir kalit bajarilishi kerak. Bitta kalit ichida sanab o’tilgan qiymatlardan biri yetarli.

Kalit	Qachon bajariladi
event_type_any	Hodisa turi qiymatlardan biri
source_type_any	Hodisa shu manbalardan biridan kelgan
tags_any	Hodisada shu teglardan kamida bittasi bor
field_contains	{"field": "process.command_line", "value": "-enc"} — maydon matnni o’z ichiga oladi, katta-kichik harf farqsiz
field_contains_any	Shunday tekshiruvlar ro’yxati; kamida bittasi bajariladi. Har biri value yoki values berishi mumkin.
field_contains_all	Shunday tekshiruvlar ro’yxati; hammasi bajariladi
field_not_contains_any, field_not_equals_any, field_not_startswith_any	Maydon qiymatlarning hech biriga mos kelmaydi — ma’lum ishonchli yo’lni chiqarib tashlash uchun
threshold	{"field": "...", "gte": 100} — maydondagi son kamida gte
iocs_present	Hodisada biror kompromat indikatori bor
ioc_any, entity_any	Hodisa shu indikator yoki obyektlardan birini tilga oladi
local_ioc_reputation_any	Hodisa indikatorlaridan biri tahdid razvedkangizda shu obro’ga ega
any_of	To’liq shartlar ro’yxati; kamida bittasi bajariladi

Maydonlar avval hodisaning normallashtirilgan ko’rinishida, keyin xom hodisada qidiriladi. port_scan yoki beaconing kabi teglar hodisa kelganda qo’shiladi — Aniqlash qanday ishlaydi sahifasiga qarang.

Qoidalarni o’zgartirish

Amal	Kim	Qanday
Qoidani o’chirish yoki yoqish	ANALYST	Qoidalardagi almashtirgich yoki PATCH /api/rules/{rule_key}/toggle
Qoidani tahrirlash	ADMIN	O’zgartiriladigan maydonlar bilan PUT /api/rules/{rule_key}
Qoida qo’shish	ADMIN	rule_key, name, severity va condition bilan POST /api/rules
Qoidani o’chirib tashlash	ADMIN	DELETE /api/rules/{rule_key}

O’zgarishlar faqat tenantingizga ta’sir qiladi va audit logga yoziladi. Qoida nimani aniqlashini tahrirlaganingizdan keyin katalog yangilanishlari uni boshqa ustidan yozmaydi — u sizniki. Qoidani o’chirish yoki yoqish tahrir hisoblanmaydi va qoida yangilanishlarni olishda davom etadi.

Har bir shart bajarilishi kerak

event_type_any va tags_any bilan yozilgan qoida faqat shu turdagi va shu teglardan biri bor hodisalarda ishga tushadi. Hech bir hodisa qondira olmaydigan shart hech qachon ishlamaydi — yangi qoidaga tayanishdan oldin uni test hodisa endpointi bilan sinab ko’ring.

Shovqinli qoidalar

Har bir tasdiqlash va rad etish alert ortidagi qoidalarga hisoblanadi. GET /api/findings/rule-metrics/{rule_key} qoidaning ishga tushishlari, soxta signallari va soxta signal ulushini beradi, GET /api/findings/noisy-rules esa kamida 5 ta saralangan alertidan 30% yoki undan ko’pi rad etilgan qoidalarni sanaydi (ikkala chegara min_hits va fp_rate_threshold bilan o’zgartiriladi).

Qoidani o’chirmasdan ma’lum zararsiz naqshni to’xtatish uchun uni rad etilgan alertdan bostiring: scope bilan POST /api/findings/{id}/suppress-similar — FINGERPRINT (aynan shu alert), RULE_KEY (shu qoida), ENTITY_KEY (shu host yoki foydalanuvchi) — va duration_minutes (-1 — doimiy). Bostirilgan hodisalar baribir saqlanadi va har biri audit logga yoziladi, lekin alert ko’tarmaydi.

YARA qoidalari

Fayl skanerining YARA qoidalari ham shu yerda boshqariladi: GET /api/rules/yara, POST /api/rules/yara/upload, DELETE /api/rules/yara/{filename} va POST /api/rules/yara/reload.